Arkiv för kategorin “SIEM”

Joel Snyder har publicerat en checklista med punkter att ta hänsyn till vid en upphandling av ett Security Information Management system eller ett logghanteringssystem – läs gärna mitt blogginlägg om detta.

Det kanske intressantaste (?) är att hela checklistan börjar med (och innehåller uteslutande) tekniken, vilket förstås är helt fel!

Första punkten måste alltid vara utred behoven och förväntningarna – att börja i den tekniska änden kommer alltid att sluta i tårar!

De senaste åren har det tagits allt mer fokus på det mystiska och kanske ofta förträngda området loggar

Det ses fortfarande på många företag som en funktion som dels är okänd, dels är något för "IT-nördarna" på driften att grotta sig i och dels något helt obegripligt som man helst håller sig borta från

Ett bra citat om hur viktigt det är med att ta loggning på allvar är uttalat av författaren Anton Chuvakin i boken "Beautiful Security" (ISBN: 978-0-596-52748-8, april 2009) där han skriver:

There are many other mechanisms for accountability in an organization, but logs are the mechanism that pervades IT.
And if your IT is not accountable, neither is your business. Thus, if you tend to not be serious about logs, be aware that you are not serious about accountability.
Is that the message your organization wants to send?

Numera börjar det finnas riktigt kompetenta och avancerade logghanteringsystem som ger ett företag möjlighet att ta hand om och samla in sina loggar, normalisera dom och koppla alla händelser i sina system till individer

Dessa loggsystem ger som utdata en mängd olika nyttoeffekter såsom:
- Spårbarhet i systemen, vem gör vad och när.
- Larm vid brott mot satta policy-regler
- Snabbare felsöknings- och åtgärdstider vid haverier och problem
- Bättre stöd åt heldesken i deras verksamhet
- Uppföljning av status i alla anslutna IT-system på företaget avseende patchar, antivirus, brandväggar, felaktiga konfigureringar, felaktigt uppsatta konton etc etc etc
- Verktyg för att kontrollera och rapportera om "compliance" för t.ex PCI DSS, SOX, BASEL II, ISO 27002/17799 och andra styrande regler för olika företag i olika brancher

Nyttan av ett avancerat logghanteringssystem är stor hos flera delar av ett företag:
- Verksamhetsansvariga
- IT-chef
- IT-driftavdelningen
- Helpdesken
- IT-säkerhetsansvariga
- Internrevisorer
- Externa revisorer
- IT-revisorer

Ett sådant mycket kompetent system för logghantering syftande till spårbarhet är ArcSight.

Det används bl.a i Sverige idag på Skatteverket

Självklart finns "Cloud computing", "Social computing" och Grönt IT med, dvs det som ligger i tiden men det som är relelevant inom säkerhet är "Security – Activity Monitoring" som jag tolkar som logghantering dvs SIEM.

Här följer ett utdrag

"Security – Activity Monitoring. Traditionally, security has focused on putting up a perimeter fence to keep others out, but it has evolved to monitoring activities and identifying patterns that would have been missed before. Information security professionals face the challenge of detecting malicious activity in a constant stream of discrete events that are usually associated with an authorized user and are generated from multiple network, system and application sources. At the same time, security departments are facing increasing demands for ever-greater log analysis and reporting to support audit requirements. A variety of complimentary (and sometimes overlapping) monitoring and analysis tools help enterprises better detect and investigate suspicious activity – often with real-time alerting or transaction intervention. By understanding the strengths and weaknesses of these tools, enterprises can better understand how to use them to defend the enterprise and meet audit requirements."

Läs mer om detta hos Gartner

SIEM & SAML- Secrets to Securing the Cloud – Torsdag, 22 oktober

Rick Caccia, ArcSight och Patrick Harding, Ping Identity håller en gratis Webinar där de diskuterar “best practices” för  bättre säkerhet och “compliance” i molnet.

Läs mer och registrera

,